OSCAL: الأطر بوصفها شيفرة (Frameworks as Code)

ISO 27001 وNIS2 وDORA وCRA وAI Act وBSI C5 وPCI DSS — كل إطار يصدر بصيغته ولغته ونظام ترقيمه الخاص. تقرأ الفرق ملفات PDF طويلة يدويًا، وتربط الجداول إطارًا بإطار خلية تلو خلية، ومع كل إصدار جديد يبدأ العمل من جديد. لا تتوافق الوثائق فيما بينها — وكل ربط هو «غراء» بشري. وفي الوقت نفسه تطلب الجهات الرقابية نفسها بيانات منظمة منذ زمن: إذ يجب تقديم سجل معلومات DORA الخاص بمزوّدي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة سنويًا بصيغة xBRL-CSV منذ عام 2025. لم يعد الامتثال بوصفه كومة وثائق قابلًا للتوسع — لا للشركات ولا للمدققين.

Open Security Controls Assessment Language معيار مفتوح ومحايد تجاه المورّدين من NIST، طُوّر بالتعاون مع القطاع ويُدار علنًا على GitHub. نشأ من معاناة ملموسة: فحزم الترخيص كما في FedRAMP كانت أكوامًا ضخمة من الوثائق لا تستطيع أي آلة فحصها. ومنذ أول إصدار مستقر 1.0.0 في 7 يونيو 2021 يتطور المعيار باستمرار — والإصدار الحالي هو 1.2.3 الصادر في 7 أغسطس 2026. يوجد كل نموذج بشكل متكافئ بصيغ JSON وXML وYAML، قابلة للتحويل فيما بينها، ومعرّفة عبر إطار Metaschema من NIST الذي يولّد المخططات والمحوّلات والتوثيق من مصدر واحد. الجوهر في جملة واحدة: يصبح الإطار بيانات بدلًا من PDF — الكلمات نفسها، لكنها الآن قابلة للعنونة والاستعلام.

تنظّم OSCAL الامتثال في ثلاث طبقات: تصف طبقة الضوابط (Control Layer) ما يقوله الإطار (Catalog)، وأي أجزائه تُختار وتُكيَّف (Profile)، و— منذ الإصدار 1.2.0 — كيف ترتبط الأطر ببعضها (Control Mapping). وتصف طبقة التنفيذ (Implementation Layer) كيف تطبّق الأنظمة الضوابط (Component Definition وSystem Security Plan). وتصف طبقة التقييم (Assessment Layer) كيف يجري الفحص وما الذي وُجد (Assessment Plan وAssessment Results وPOA&M). والمثال المرجعي العام هو FedRAMP: يُفصَّل كتالوج SP ⁦800-53⁩ عبر ملف تعريف أساسي (Baseline)، وينفّذ SSP الاختيار، وتفحص التقييمات مقابله، ويتتبع POA&M الفجوات — وكل خطوة تشير بشكل قابل للقراءة آليًا إلى سابقتها. وتعمل السلسلة نفسها لأي إطار، بمجرد وجود كتالوج بوصفه بيانات.

يعكس كتالوج OSCAL بنية الوثيقة المصدر: تمثّل groups الفصول أو المجالات أو المواد؛ وcontrols هي المتطلبات القابلة للعنونة بمعرّف ثابت؛ وتحمل parts النص الحرفي — البيان والإرشاد وهدف الفحص — كلٌّ منها قابل للإشارة منفردًا؛ وتحوّل params ثغرات «organization-defined» في الإطار إلى حقول بيانات قابلة للتعبئة؛ وتوفر props التسميات والترتيب؛ ويمكن أن توجد الوثيقة المصدر نفسها في back-matter، مؤمّنة بقيم تجزئة. والحاسم هو الهوية الثابتة: يبقى ضابط مثل «ac-1» المرجع نفسه عبر الإصدارات وعمليات الربط — فتشير الأدوات وملفات التعريف وأدلة الإثبات بشكل دائم إلى الكائن نفسه بدلًا من رقم صفحة.

خمس خصائص مستحيلة مع PDF وبديهية مع البيانات: قابلية المقارنة — ما الذي تغيّر بالضبط بين إصدارين من الإطار؟ قابلية الاستعلام — التصفية والعدّ والاختيار وإعداد التقارير عبر جميع الضوابط. قابلية الربط — ربط الضوابط عبر الأطر: تنفيذ مرة واحدة، واستيفاء متعدد. قابلية التتبع — يمكن لكل عنصر أن يشير إلى الموضع المصدر الدقيق الذي جاء منه. قابلية الأتمتة — تستهلك الأدوات البيانات مباشرة، دون إعادة إدخال ودون انحراف النسخ واللصق. ولفرق GRC يعني ذلك: تصبح تغييرات الإصدارات مقارنات بدلًا من بدايات جديدة، وتعتمد عمليات التدقيق على مراجع قابلة للإثبات، ويصبح الامتثال المتعدد عملية على البيانات.

ينشر NIST معيار SP ⁦800-53⁩ أصلًا بصيغة OSCAL — حاليًا الإصدار 5.2.0 مع إجراءات التقييم من SP 800-53A والخطوط الأساسية الأربعة. وأقوى محرك للتبني هو FedRAMP: فبعد المراحل التجريبية لبرنامج 20x ‏(26 و14 تقديمًا قابلًا للقراءة آليًا)، يُلزم قرار مارس 2026 أكثر من 500 مزوّد Rev5 قائم بحزم ترخيص قابلة للقراءة آليًا أو شبه منظمة — مع موعد نهائي في 1 نوفمبر 2027؛ وبالتوازي يستبدل برنامج 20x التوثيق السردي بـ 46 مؤشرًا أمنيًا رئيسيًا (Key Security Indicators) قابلًا للفحص الآلي. ودوليًا، تنشر Australian Signals Directorate معيار ISM مع ملفات تعريف Essential Eight بصيغة OSCAL، وتتبنى GovTech Singapore المعيار على مستوى الجهات الحكومية، وتقدّم CIS الضوابط v8/v8.1 وCloud Security Alliance مصفوفة CCM v4.1 بشكل قابل للقراءة آليًا؛ وتوفر AWS، بحسب إعلانها، منذ ربيع 2026 تقارير SOC 1 وSOC 2 أيضًا بصيغة OSCAL. ومنذ فبراير 2025 تجمع OSCAL Foundation ‏(تضم لجنتها التوجيهية AWS وCisco وغيرهما) المجتمع؛ ومشروع الأدوات OSCAL Compass ضمن CNCF Sandbox منذ يونيو 2024.

منذ 30 سبتمبر 2025 يوفر BSI مكتبة «أحدث ما توصلت إليه التقنية» على GitHub — مجموعات قواعد قابلة للقراءة آليًا على أساس OSCAL، بترخيص CC-BY-SA-4.0 الحر، ومنظمة وفق طبقات OSCAL. ويصدر Grundschutz++، خلف IT-Grundschutz، بنهج OSCAL أولًا: نحو 1,000 متطلب في 20 ممارسة (نسخة تجريبية منتصف 2026)، ومرحلة تجريبية حتى 30 سبتمبر 2026، وعرض رسمي في it-sa يوم 27 أكتوبر 2026، ومن المخطط إتاحة الحصول على شهادة ISO 27001 على هذا الأساس اعتبارًا من 2027. كما يتوفر C5:2026 — 168 معيارًا في 17 مجالًا موضوعيًا، متوائمًا هيكليًا مع EUCS — لأول مرة بشكل قابل للقراءة آليًا. وعلى مستوى الاتحاد الأوروبي، تدفع مشاريع Horizon ‏MEDINA وEMERALD ‏(Certification-as-a-Service، مدتها حتى أكتوبر 2026) ومجتمع EUROSCAL استخدام OSCAL للاعتماد السحابي الآلي؛ وفي سبتمبر 2025 اجتمعت لأول مرة لدى ECSO فرقة عمل European OSCAL Task Force. وثمة حد صريح: بالنسبة إلى ISO 27001 لا يوجد كتالوج رسمي قابل للتوزيع الحر بسبب حقوق النشر الخاصة بـ ISO — وتعمل ISO وIEC مع مبادرة SMART على معايير خاصة بها قابلة للقراءة آليًا.

مع الإصدار 1.2.0 الصادر في ديسمبر 2025 أصبح نموذج Control Mapping النموذج الثامن في OSCAL: تربط mapping-collections الكتالوجات أو ملفات التعريف على مستوى الضوابط بل وعلى مستوى البيانات — بستة أنواع علاقات قائمة على نظرية المجموعات (equal-to وequivalent-to وsubset-of وsuperset-of وintersects-with وno-relationship)، ومبرر إلزامي (syntactic أو semantic أو functional وفق NIST IR 8477)، ومحدِّدات للتغطية الجزئية وعدم التوافق. ويدعم ذلك برنامج NIST OLIR بمراجع رسمية لـ CSF 2.0 إلى ISO/IEC 27001 وCIS Controls وPCI DSS، إضافةً إلى أطر شاملة مثل Secure Controls Framework الذي يضم، بحسب بياناته، أكثر من 200 إطار مربوط. والنتيجة العملية: من يلتزم بـ NIS2 وAI Act وISO 27001 وISO 42001 وCRA في آن واحد، يدمجها عبر الربط في مجموعة ضوابط داخلية واحدة — فيصبح تحليل الفجوات المُدمج استعلامًا، ويتحول خمسة مشاريع تنفيذ إلى مشروع واحد. ويبقى مهمًا: نادرًا ما تكون عمليات الربط 1:1 — ولهذا تحديدًا يفرض النموذج نوع العلاقة والمبرر، بدلًا من مساواة الضوابط ضمنيًا.

في نموذج Assessment Results تصبح أدلة الإثبات نفسها بيانات: ترتبط النتائج (Findings) عبر الملاحظات (Observations) بإحالات إلى الأدلة، وتوجد ملفات الأدلة بوصفها موارد back-matter — مؤمّنة عبر رابط بقيم تجزئة تشفيرية أو مضمّنة مباشرة. وهذا هو الأساس للتقييمات المستمرة وصولًا إلى مفاهيم Continuous ATO، كما عرّفتها وزارة الدفاع الأمريكية في مذكرة عام 2022. وفي سلسلة التوريد يكون Component Definition هو المفتاح: يصف مزوّد البرمجيات أو الخدمات السحابية مرة واحدة وبشكل قابل للقراءة آليًا كيف يدعم منتجه الضوابط — ويستورد العملاء هذه اللبنة مباشرة في System Security Plan الخاص بهم، بدلًا من الإجابة عن الاستبيان التالي. والأدوات تنضج: يدير compliance-trestle ‏OSCAL بوصفها شيفرة في مسارات CI/CD، ويولّد Compliance-to-Policy من Component Definitions سياسات أصلية لـ Kyverno أو Open Cluster Management ويعيد توحيد نتائج الفحص في Assessment Results؛ وبشكل مكمّل يربط CycloneDX 1.6 عبر Attestations بين SBOM ودليل إثبات الامتثال. ويبقى صحيحًا: تعقيد المعيار حقيقي — وتنشأ فائدته عندما تغلّفه منصة، بدلًا من تمريره إلى المستخدمين.